搜索

[11255] 2017-04-19_快速识别重要威胁：威胁情报与SIEM的结合

文档创建者：s7ckTeam
浏览次数：19
最后更新：2025-01-18
2017-04-19_快速识别重要威胁：威胁情报与SIEM的结合 快 速 识 别 重 要 威 胁 ： 威 胁 情 报 与 S I E M 的 结 合 飞 行 鸵 鸟   F r e e B u f   2 0 1 7 - 0 4 - 1 9 T h r e a t C o n n e c t 是 威 胁 情 报 代 表 性 企 业 之 一 ， 著 名 的 钻 石 模 型 理 论 提 出 者 。 T h r e a t C o n n e c t 近 期 发 布 了 一 份 报 告 ， 讲 述 企 业 如 何 通 过 威 胁 情 报 平 台 来 增 强 S I E M / S O C 的 安 全 能 力 ， 以 便 更 全 面 的 理 解 威 胁 、 消 除 误 报 ， 形 成 主 动 、 智 能 的 防 御 体 系 。 小 编 带 您 一 起 具 体 了 解 下 这 份 报 告 的 内 容 。 1 、 从 、 从 S I E M 的 本 质 出 发 ， 它 是 用 来 做 什 么 的 ？ 有 哪 些 局 限 ？ 的 本 质 出 发 ， 它 是 用 来 做 什 么 的 ？ 有 哪 些 局 限 ？ 安 全 信 息 与 事 件 管 理 系 统 （ S I E M ） 在 国 内 我 们 通 常 更 倾 向 于 称 之 为 安 全 运 营 中 心 （ 以 下 简 称 S O C ） ， 主 要 用 于 发 现 整 个 企 业 中 的 趋 势 和 态 势 ， 从 多 种 事 件 和 具 有 上 下 文 信 息 的 数 据 源 中 收 集 和 分 析 安 全 事 件 ，   S I E M 支 持 威 胁 检 测 和 安 全 事 件 响 应 — — 即 ： 一 个 界 面 可 以 连 接 所 有 数 据 。 大 多 数 企 业 使 用 S I E M 来 收 集 日 志 数 据 ， 并 将 安 全 事 件 与 多 个 系 统 （ 入 侵 检 测 设 备 ， 防 火 墙 等 ） 内 部 安 全 日 志 和 事 件 数 据 相 关 联 。 它 是 有 效 关 联 内 部 数 据 和 提 取 的 威 胁 数 据 信 息 流 的 起 点 ， 还 可 以 自 动 报 警 并 进 行 阻 断 。 然 而 ， 随 着 攻 击 者 的 不 断 “ 创 新 ” ， 企 业 需 要 越 来 越 多 的 了 解 威 胁 的 本 质 、 意 图 、 技 术 和 造 成 损 害 的 能 力 ， S I E M 的 局 限 性 开 始 显 现 。 随 着 S I E M 投 产 与 运 营 。 不 断 增 加 的 噪 音 和 系 统 复 杂 性 中 的 “ 传 感 器 疲 劳 ” 会 逐 步 压 垮 S I E M 和 它 的 安 全 技 术 团 队 。 企 业 安 全 团 队 正 在 努 力 从 已 部 署 的 S I E M 中 发 现 真 正 价 值 ， 原 因 如 下 ： 太 多 原 始 太 多 原 始 “ 噪 音 噪 音 ” ： ： S I E M 的 一 个 重 大 困 难 在 于 其 中 输 入 的 数 据 需 要 大 量 的 过 滤 。 如 果 过 量 的 威 胁 元 数 据 进 入 S I E M ， 可 能 会 产 生 大 量 的 误 报 ， 降 低 S I E M 性 能 ， 也 会 强 烈 干 扰 监 控 和 事 件 响 应 团 队 。 此 外 ， 当 无 效 的 原 始 威 胁 信 息 流 开 始 并 入 到 S I E M 中 ， 它 就 无 法 分 别 情 报 的 好 坏 。 如 果 您 的 S I E M 都 无 分 辨 ， 您 又 如 何 做 到 ？ 知 己 欠 缺 知 彼 ： 知 己 欠 缺 知 彼 ：   虽 然 S I E M 可 以 关 联 事 件 ， 或 分 析 可 疑 或 恶 意 活 动 ， 精 确 定 位 威 胁 。 但 是 它 缺 乏 专 注 于 对 手 的 意 图 或 基 于 过 去 观 察 到 的 行 为 显 示 入 侵 者 下 一 步 可 能 做 什 么 的 能 力 。 只 对 已 知 威 胁 有 反 应 ： 只 对 已 知 威 胁 有 反 应 ： 由 于 S I E M 通 常 只 能 识 别 和 标 记 已 知 威 胁 ， 而 当 您 试 图 在 恶 意 行 为 之 前 提 前 采 取 行 动 时 ， 这 将 成 为 问 题 。 如 果 一 个 持 续 的 攻 击 者 使 用 新 的 技 术 或 工 具 来 抵 御 企 业 的 检 测 ， S I E M 本 身 无 法 检 测 到 它 ， 因 为 它 对 这 种 新 方 法 并 不 熟 悉 。 2 、 、   将 威 胁 情 报 集 合 到 将 威 胁 情 报 集 合 到 S I E M 中 的 好 处 中 的 好 处
许 多 机 构 认 为 ，   S I E M 和 态 势 感 知 系 统 是 解 决 安 全 分 析 困 境 的 灵 丹 妙 药 ， 实 际 上 它 们 只 是 一 个 起 点 。 因 为 传 统 S I E M 不 是 设 计 用 来 处 理 非 结 构 化 、 具 备 多 种 格 式 的 威 胁 情 报 ， 并 且 这 些 情 报 是 分 析 所 必 需 的 ， 来 自 于 不 同 来 源 。 如 果 输 入 太 多 未 经 验 证 的 数 据 ， 这 些 数 据 将 会 在 实 质 上 以 垃 圾 信 息 的 方 式 来 阻 碍 企 业 的 安 全 动 脉 ， 会 快 速 导 致 S I E M 消 化 不 良 并 拖 垮 稀 缺 的 安 全 分 析 资 源 。 所 以 希 望 将 一 大 堆 未 经 审 查 的 威 胁 数 据 输 入 S I E M ， 来 实 现 一 个 所 谓 的 威 胁 情 报 解 决 方 案 的 ， 一 定 请 三 思 。 威 胁 情 报 为 安 全 团 队 提 供 了 “ 及 时 识 别 和 应 对 攻 陷 指 标 的 能 力 “ 。 虽 然 有 关 攻 击 的 信 息 比 比 皆 是 ， 威 胁 情 报 在 过 程 中 识 别 攻 击 行 为 的 实 质 是 将 这 些 信 息 与 攻 击 方 法 和 攻 击 进 程 的 上 下 文 知 识 紧 密 结 合 。 将 S I E M 与 威 胁 情 报 匹 配 。 企 业 将 以 敏 捷 和 快 速 反 应 的 方 式 应 对 不 断 发 展 的 、 大 批 量 、 高 优 先 级 的 威 胁 。 如 果 不 进 行 匹 配 ， 企 业 则 是 在 盲 目 地 努 力 并 且 还 要 面 对 混 乱 报 警 的 局 面 。 在 S I E M 中 观 察 威 胁 会 过 度 关 注 内 部 细 节 。 所 有 形 式 的 威 胁 数 据 ， 不 论 是 结 构 化 还 是 非 结 构 化 的 ，   都 需 要 从 更 “ 全 球 化 ” 的 角 度 进 行 综 合 分 析 和 研 究 。 当 使 用 筛 选 后 的 高 质 量 威 胁 情 报 来 预 警 时 ， 你 才 能 开 始 形 成 对 于 威 胁 的 态 势 感 知 能 力 （ 它 们 可 以 对 你 做 什 么 以 及 它 们 如 何 做 ） ， 黑 客 基 础 设 施 和 武 器 （ 它 们 从 哪 来 ） ， 动 机 （ 为 什 么 它 们 这 么 做 ） 以 及 它 们 的 目 的 和 资 源 的 全 面 的 了 解 。 3 、 、   用 威 胁 情 报 来 构 建 用 威 胁 情 报 来 构 建 S I E M 的 主 要 部 分 ， 将 的 主 要 部 分 ， 将 S I E M 与 威 胁 情 报 平 台 绑 定 联 动 。 与 威 胁 情 报 平 台 绑 定 联 动 。 威 胁 情 报 平 台 可 以 帮 助 企 业 完 成 经 常 超 过 企 业 自 身 能 力 的 、 需 要 耗 费 大 量 劳 动 力 的 对 于 威 胁 情 报 的 威 胁 分 析 。 威 胁 情 报 平 台 是 一 个 动 态 系 统 ， 从 许 多 不 同 的 来 源 自 动 采 集 威 胁 数 据 ， 然 后 将 该 数 据 相 互 关 联 ， 将 其 丰 富 ， 并 将 其 无 缝 与 基 础 安 全 设 施 联 动 。 通 过 威 胁 情 报 平 台 ， 企 业 可 以 汇 总 和 合 理 化 威 胁 数 据 自 动 筛 选 出 攻 陷 指 标 （ I O C ） 作 为 可 机 读 威 胁 情 报 （ M R T I ） ， 并 且 使 用 现 存 的 日 志 对 比 匹 配 以 便 轻 松 发 现 不 常 见 的 趋 势 或 线 索 ， 并 对 其 有 效 执 行 操 作 。 通 过 将 团 队 、 流 程 和 工 具 结 合 在 一 起 ， 威 胁 情 报 平 台 为 安 全 团 队 提 供 了 对 于 威 胁 来 自 哪 里 前 所 未 有 的 视 野 ， 并 可 以 从 头 到 尾 跟 踪 整 个 事 件 ， 通 过 报 告 ， 可 指 导 安 全 响 应 并 进 行 阻 断 。 节 省 了 追 踪 传 统 S I E M 产 生 的 误 报 所 花 的 大 量 时 间 。 在 威 胁 情 报 平 台 聚 合 的 威 胁 情 报 和 S I E M 可 让 您 对 威 胁 进 行 有 效 的 控 制 、 验 证 、 度 量 威 胁 情 报 的 价 值 ， 并 在 S I E M 中 成 熟 地 使 用 它 来
进 行 警 报 和 阻 断 。 通 过 威 胁 情 报 平 台 ， 可 以 确 信 您 的 数 据 是 与 威 胁 相 关 的 并 已 经 进 行 优 先 性 排 序 的 ， 以 便 您 在 S I E M 中 更 正 确 地 处 置 。 4 、 、   S I E M + 威 胁 情 报 平 台 ： 威 胁 情 报 平 台 ：   如 何 充 分 利 用 您 的 威 胁 情 报 ？ 如 何 充 分 利 用 您 的 威 胁 情 报 ？ 如 果 正 确 实 施 的 话 ， 威 胁 情 报 可 以 增 强 检 测 和 响 应 能 力 ， 节 省 时 间 ， 并 帮 助 您 做 出 更 好 的 战 略 安 全 决 策 。 但 要 充 分 利 用 威 胁 情 报 ， 威 胁 情 报 平 台 提 供 的 一 些 最 佳 实 践 和 工 作 流 程 能 够 帮 助 统 一 人 员 、 流 程 和 技 术 。 日 志 ， 事 件 和 数 据 的 进 一 步 分 析 ： 日 志 ， 事 件 和 数 据 的 进 一 步 分 析 ： 基 于 两 个 系 统 之 间 的 双 向 数 据 流 ， 来 自 威 胁 情 报 平 台 的 攻 陷 指 标 将 自 动 发 送 到 S I E M 中 进 行 警 报 ， 并 将 来 自 S I E M 的 特 定 事 件 发 送 回 威 胁 情 报 平 台 来 进 行 关 联 分 析 、 数 据 挖 掘 和 优 先 性 排 序 。 在 威 胁 情 报 平 台 通 过 确 定 哪 些 来 源 或 工 具 被 识 别 出 的 恶 意 行 为 ， 可 在 网 络 中 进 行 定 位 ， 分 析 人 员 可 以 锁 定 恶 意 行 为 的 所 在 位 置 。 建 立 企 业 自 身 威 胁 知 识 库 ： 建 立 企 业 自 身 威 胁 知 识 库 ： 综 合 性 威 胁 情 报 平 台 可 以 作 为 企 业 的 中 央 威 胁 信 息 库 。 帮 助 企 业 了 解 网 络 犯 罪 分 子 的 工 具 、 流 程 、 受 害 者 和 预 期 目 标 。 可 以 轻 松 地 将 来 自 过 去 的 攻 击 者 活 动 的 信 息 与 当 前 的 信 息 进 行 关 联 ， 并 从 过 去 的 攻 击 中 学 习 ， 主 动 阻 止 攻 击 者 当 前 和 未 来 可 能 的 攻 击 。 优 化 企 业 安 全 投 资 ： 优 化 企 业 安 全 投 资 ： 利 用 内 置 的 工 作 流 程 ， 威 胁 情 报 平 台 也 可 以 将 更 智 能 的 做 法 转 移 到 S I E M 及 其 他 入 侵 检 测 安 全 工 具 中 。 根 据 企 业 网 络 环 境 生 成 和 优 化 情 报 ： 根 据 企 业 网 络 环 境 生 成 和 优 化 情 报 ： 威 胁 情 报 平 台 没 有 像 S I E M 那 样 关 注 一 系 列 事 件 找 出 矛 盾 的 地 方 ， 而 是 增 加 了 上 下 文 信 息 和 关 系 丰 富 的 指 标 ， 从 而 使 企 业 能 够 更 好 地 了 解 威 胁 的 性 质 、 对 企 业 的 风 险 ， 更 有 效 地 做 出 全 面 的 反 应 。 帮 助 企 业 从 战 略 上 挫 败 攻 击 者 ， 而 不 是 玩 打 地 鼠 的 游 戏 。 形 成 主 动 防 御 ： 形 成 主 动 防 御 ： 威 胁 情 报 平 台 允 许 安 全 响 应 团 队 跨 过 自 己 的 网 络 寻 找 线 索 和 联 系 ， 这 可 以 显 示 攻 击 企 业 的 威 胁 与 可 能 存 在 的 威 胁 之 间 的 关 系 ， 并 发 现 新 的 相 关 的 情 报 。 使 用 这 些 信 息 ， 帮 助 安 全 团 队 变 被 动 防 御 转 为 主 动 防 御 。 一 个 高 效 的 威 胁 情 报 平 台 （ T h r e a t   I n t e l l i g e n c e   P l a t f o r m , T I P ） 致 力 于 精 准 发 现 内 部 失 陷 主 机 ， 帮 助 安 全 团 队 快 速 并 准 确 定 位 威 胁 所
在 ， 提 供 威 胁 相 关 的 丰 富 的 上 下 文 信 息 以 供 分 析 和 响 应 。 比 如 微 步 在 线 是 基 于 庞 大 的 威 胁 分 析 云 ， 经 验 丰 富 而 专 注 的 分 析 师 团 队 ， 深 度 学 习 技 术 积 累 ， 国 内 外 领 先 的 网 络 基 础 数 据 和 威 胁 情 报 社 区 ， 帮 助 客 户 实 现 以 下 检 测 目 标 ： 4 . 1   以 结 果 驱 动 的 数 据 收 集 体 系 。 以 结 果 驱 动 的 数 据 收 集 体 系 。 威 胁 情 报 中 心 是 以 实 际 的 检 测 和 分 析 能 力 输 出 作 为 驱 动 ， 与 S I E M 最 大 的 差 别 在 于 不 是 数 据 的 吸 尘 器 ， 收 集 过 多 的 数 据 只 会 产 生 更 大 的 噪 声 ， 并 对 影 响 性 能 。 仅 收 集 必 要 的 多 源 数 据 ， 极 大 降 低 了 投 入 和 运 维 成 本 ， 缩 短 建 设 周 期 ， 可 快 速 见 效 ， 有 助 于 帮 助 管 理 层 逐 步 树 立 对 大 数 据 安 全 建 设 的 信 息 。 这 也 是 国 内 知 名 威 胁 情 报 公 司 定 位 于 聚 焦 威 胁 ， 情 报 驱 动 的 初 衷 。 4 . 2   能 够 快 速 准 确 的 检 测 威 胁 ， 发 现 被 控 主 机 。 能 够 快 速 准 确 的 检 测 威 胁 ， 发 现 被 控 主 机 。 要 基 于 海 量 数 据 和 强 大 分 析 师 团 队 提 取 遍 布 全 球 的 恶 意 域 名 、 I P 等 攻 击 基 础 设 施 在 网 络 流 量 中 准 确 发 现 失 陷 主 机 与 被 控 端 的 连 接 。 此 外 应 用 深 度 学 习 方 法 的 D G A 算 法 ， 发 现 对 恶 意 动 态 生 成 域 名 的 访 问 。 T I P 还 在 通 过 在 主 机 端 指 定 目 录 和 进 程 中 进 行 恶 意 软 件 和 木 马 的 发 现 ， 进 一 步 帮 助 定 位 失 陷 主 机 。 4 . 3   结 合 威 胁 情 报 数 据 和 海 量 基 础 数 据 提 升 客 户 对 威 胁 事 件 的 分 析 能 力 。 结 合 威 胁 情 报 数 据 和 海 量 基 础 数 据 提 升 客 户 对 威 胁 事 件 的 分 析 能 力 。 有 效 的 将 企 业 安 全 分 析 所 需 的 海 量 网 络 基 础 数 据 、 黑 客 组 织 画 像 等 基 础 能 力 植 入 本 地 T I P 平 台 ， 帮 助 客 户 形 成 一 整 套 用 于 威 胁 分 析 的 能 力 体 系 。 在 实 际 应 用 当 中 ， 一 个 高 效 的 威 胁 情 报 中 心 还 应 具 备 的 实 战 应 用 特 性 ， 如 微 步 在 线 T I P ： 基 于 出 站 流 量 检 测 ， 实 现 更 全 面 的 失 陷 主 机 发 现 。 具 备 主 机 W e b s h e l l 和 流 行 黑 客 工 具 检 测 功 能 。 具 备 主 机 恶 意 文 件 云 端 沙 箱 与 多 引 擎 分 析 ， 这 是 对 未 知 威 胁 的 有 效 检 测 机 制 。 可 实 现 内 部 溯 源 分 析 ： 最 大 范 围 地 发 现 内 部 被 攻 击 的 节 点 ， 帮 助 企 业 更 快 响 应 和 处 理 。 可 对 安 全 事 件 进 行 关 联 分 析 。 能 够 与 企 业 安 全 现 有 方 案 有 效 结 合 。 具 备 企 业 整 体 安 全 状 态 可 视 化 能 力 满 足 企 业 态 势 感 知 需 求 。 部 署 灵 活 简 单 ： 可 安 装 在 虚 拟 机 或 者 硬 件 设 备 上 ， 对 机 器 配 置 要 求 低 ， 部 署 简 单 且 维 护 成 本 低 。 5 、 、   结 论 ： 结 论 ： S I E M 是 非 常 重 要 的 安 全 系 统 ， 但 是 它 需 要 帮 助 才 能 发 挥 最 大 的 潜 能 。 是 非 常 重 要 的 安 全 系 统 ， 但 是 它 需 要 帮 助 才 能 发 挥 最 大 的 潜 能 。 很 简 单 ： 在 配 备 威 胁 情 报 平 台 的 情 况 下 ，   S I E M 才 能 发 挥 最 大 效 能 。 威 胁 情 报 平 台 是 分 析 人 员 理 想 的 工 作 地 点 ， 通 过 将 数 据 合 并 在 一 起 ， 能 够 更 全 面 地 了 解 威 胁 。 威 胁 情 报 平 台 帮 助 分 析 人 员 从 所 有 来 源 获 取 数 据 ， 融 合 内 部 和 外 部 数 据 ， 优 化 数 据 以 进 行 更 快 分 析 。
通 过 将 S I E M 与 威 胁 情 报 平 台 相 结 合 ， 企 业 可 以 将 所 有 人 、 过 程 和 技 术 统 一 在 智 能 驱 动 的 防 御 背 后 ， 获 得 强 大 的 效 果 ： 识 别 重 要 威 胁 ： 汇 集 企 业 内 部 日 志 ， 并 将 其 与 威 胁 情 报 相 结 合 ， 以 快 速 识 别 哪 些 反 馈 最 适 合 企 业 环 境 。 更 好 地 了 解 威 胁 的 本 质 ： 超 越 S I E M 的 能 力 ， 为 警 报 和 事 件 添 加 情 景 和 关 联 丰 富 的 上 下 文 ， 帮 助 企 业 更 好 地 了 解 风 险 ， 做 出 更 有 针 对 性 的 反 映 。 丰 富 企 业 内 部 能 力 ： 通 过 共 享 威 胁 数 据 ， 并 使 用 可 靠 的 情 报 来 源 丰 富 企 业 能 力 。   数 据 共 享 和 存 储 ： 将 平 台 用 作 历 史 威 胁 数 据 的 知 识 库 ， 帮 助 应 对 重 新 出 现 或 持 续 存 在 的 威 胁 。 优 化 工 作 流 程 和 编 排 ： 使 用 平 台 工 作 流 程 ， 通 过 与 其 他 安 全 基 础 架 构 的 集 成 来 驱 动 行 动 ， 将 自 身 的 事 件 数 据 转 化 为 内 部 威 胁 情 报 （ 这 是 最 有 价 值 的 情 报 ） 。 并 且 从 一 个 中 心 平 台 来 消 除 碎 片 化 ， 管 理 企 业 安 全 基 础 架 构 。 参 考 文 献 ： S I E M   +   T h r e a t   I n t e l l i g e n c e :   Q u i c k l y   I d e n t i f y   t h e   T h r e a t s   t h a t   M a t t e r   t o   Y o u   * 本 文 作 者 ： 飞 行 鸵 鸟 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理